mysql - 如何使用存储函数安全地检索 sql 数据

Question

我正在尝试在 MySQL 中编写一个函数，该函数获取作为参数给出的用户名的密码，同时避免 SQL 注入(inject)。

这是我的代码:

CREATE FUNCTION get_password_for_user (p_username varchar(30))
    returns varchar(32)
BEGIN
    declare passwd varchar(32) default "";

   PREPARE stmt FROM 'select password into @passwd from users where name=?';
   SET @name = p_username;
   EXECUTE stmt USING @name;
   DEALLOCATE PREPARE stmt;

   return passwd;
END $$

当我尝试创建它时，它给出了动态 SQL 错误:

Error Code: 1336. Dynamic SQL is not allowed in stored function or trigger

我在网络上找到了涉及 CONCAT 的解决方案，但这意味着容易受到 SQL 注入(inject)攻击，我显然不希望这样。

对此我能做些什么吗？或者有其他正确的方法来处理这种情况吗？

Answer 1

为什么使用动态sql？

CREATE FUNCTION get_password_for_user (p_username varchar(30))
    returns varchar(32)
BEGIN
    declare passwd varchar(32) default '';

   select passwd := u.password
   from users u
   where u.name = p_username;

   return passwd;
END $$